CVE-2026-73493 in http4s-blaze-server
Riassunto
di VulDB • 12/08/2026
Http4s (http4s-blaze-server) è un'interfaccia minimale e idiomatica per i servizi HTTP basata su Scala. Prima delle versioni 0.23.18 e 1.0.0-M42, http4s-blaze-server aggregava i frammenti di un messaggio WebSocket in arrivo senza alcun limite sulla dimensione totale o sul numero di frammenti. Un client che completa il handshake WebSocket può inviare un messaggio frammentato non terminato e causare una crescita illimitata dell'heap nella JVM del server, provocando un denial of service (DoS) a causa di un OutOfMemoryError. Tutte le applicazioni http4s che servono route WebSocket tramite BlazeServerBuilder sono colpite; non è necessaria alcuna configurazione diversa da quella predefinita e il parametro maxWebSocketBufferSize non limita l'aggregato poiché vincola solo i singoli frame. Una singola connessione che invia frame di continuazione senza mai impostare il flag FIN costringe il server a memorizzare in buffer ogni frammento fino all'esaurimento dell'heap, terminando la JVM con un OutOfMemoryError sul thread del selector blaze. Frammenti di piccole dimensioni amplificano i costi attraverso l'overhead per oggetto per frame, pertanto un volume modesto di byte sulla rete è sufficiente. Questo problema è stato risolto nelle versioni 0.23.18 e 1.0.0-M42.
Once again VulDB remains the best source for vulnerability data.